如何解决Xamarin/.Net应用中Auth0 Audience含userinfo的无效token问题

问题根源 #

https://xyz.us.auth0.com/userinfo 是Auth0在使用**资源所有者密码流（Resource Owner Password Flow）**时，部分SDK默认会自动添加的受众值——这个端点用于获取用户信息，SDK可能会默认将其加入令牌的aud字段，哪怕你没有手动配置。

具体解决步骤 #

• 检查客户端令牌请求配置
  在Xamarin项目的Auth0令牌请求代码（如GetTokenAsync相关逻辑）中，确保显式且仅指定你的后端API地址为Audience，禁止SDK自动附加额外受众。比如在构造认证请求时，将Audience属性严格设置为https://webapi-dev...com，不要留空或依赖默认值。

• 调整Auth0租户配置
  登录Auth0管理后台：

  1. 找到你的后端API（对应https://webapi-dev...com），在「允许的受众」设置中，仅保留你的API地址，移除https://xyz.us.auth0.com/userinfo；
  2. 检查对应客户端应用的权限列表，若存在访问userinfo端点的权限，直接移除该权限，避免令牌生成时包含这个受众。

• 验证令牌内容
  用本地JWT解析工具解码获取到的令牌，查看aud字段值。如果仍包含两个受众，说明客户端请求逻辑未生效，需要进一步排查SDK的参数传递逻辑，确保请求令牌时仅发送目标API的Audience参数。

• 修正后端验证逻辑
  若后端使用Auth0中间件验证令牌，调整验证规则：

  • 确保验证逻辑是检查令牌的Audience是否包含你的API地址，而非要求完全匹配；
  • 在ASP.NET Core中，配置TokenValidationParameters时，将ValidAudiences设置为你的API地址数组，或开启ValidateAudience并指定正确的受众值，确保只要令牌包含你的API受众就通过验证。

内容的提问来源于stack exchange，提问作者Saamer